Angriffe, dienachvollziehbardokumentiert sind.

Wir wählen das Scoping nicht nach Marketing, sondern nach Angriffsrealität. Blackbox für reine Perimeter-Validierung, Greybox für die meisten Projekte (getestet mit Standardnutzer-Accounts) und Whitebox dort, wo Sourcecode- und Architekturzugriff den Wert deutlich erhöht. Die Entscheidung treffen wir in einem technischen Kick-off gemeinsam mit Ihrem Team.

Jeder Test endet mit einem Bericht: Management-Summary, technische Befunde mit Request/Response-Belegen, CVSS-Bewertung, Reproduktionsschritten und empfohlenen Maßnahmen. Berichtssprache Deutsch oder Englisch nach Ihrer Wahl, unabhängig von der Durchführungssprache. Dazu eine technische Abschlussbesprechung mit Entwicklung und Betrieb. Retests geschlossener Findings sind optional und werden separat ausgewiesen.

Sie suchen einen Anbieter mit Sitz in Deutschland? Wir sitzen in Düsseldorf und testen in ganz Deutschland und Europa – auf Wunsch auch vor Ort. Cybersicherheit Düsseldorf

Wir sortieren nicht nach Wirtschaftszweig, sondern nach dem, was den Test tatsächlich bestimmt: welche Systeme exponiert sind, wer daran arbeitet und welche Regulierung mitredet. Fünf Muster begegnen uns quer durch Branchen und Länder so regelmäßig, dass wir sie im Scoping von vornherein ansprechen.

1. 01

   Produktion & OT

   Maschinenbau, Fertigung, Automotive-Zulieferer. Gewachsene Netze, in denen Office-IT und Produktion nie sauber getrennt wurden: Den Umfang bestimmen Segmentierung, Fernwartungszugänge und die Frage, was im laufenden Betrieb angefasst werden darf.

2. 02

   Regulierte Betreiber

   Stadtwerke, Energieversorger, Wasser und Abwasser, Kliniken, Banken und Versicherer. Hier geben KRITIS, NIS-2 und DORA Prüftiefe und Nachweisform vor — was davon gefordert ist, gehört vor das Angebot und nicht in den Bericht.

3. 03

   Öffentlicher Sektor

   Kommunen, Behörden, Hochschulen und ihre IT-Dienstleister. Viele Fachverfahren von vielen Herstellern, Bürgerdaten und enge Wartungsfenster: Der Test folgt den Schnittstellen zwischen diesen Verfahren, nicht dem Organigramm.

4. 04

   Digitale Produkte & SaaS

   Softwarehäuser und Plattformbetreiber, deren Produkt selbst die Angriffsfläche ist. Mandantentrennung, Authentifizierung und API-Berechtigungen bestimmen den Umfang; mit dem CRA kommt der Nachweis über den gesamten Produktlebenszyklus dazu.

5. 05

   Viele Standorte & Lieferkette

   Handel, Logistik, Kanzleien und alle mit vielen Niederlassungen oder Dienstleistern im Netz. Der kürzeste Weg hinein ist hier selten die Webanwendung, sondern ein Zugang, den jemand anderes verwaltet.

Die Liste grenzt niemanden aus: Der Prüfumfang folgt der Angriffsfläche, nicht dem Wirtschaftszweig. Steht Ihr Fall hier nicht, ordnen wir ihn im Erstgespräch ein.